vprašalnik sprašuje, ali smo zavarjeni pred kibernetskimi incidenti

Zavarovanje pred kibernetskimi grožnjami ni nadomestilo za ukrepe, temveč ločeno vprašanje

Zavarovanje pred kibernetskimi grožnjami je ločeno od desetih ukrepov iz člena 21(2) direktive NIS2 in ločeno od Priloge A standarda ISO/IEC 27001. Vprašanje, ali ste zavarovan/-a pred kibernetskimi incidenti, se nanaša na finančno kritje po incidentu, ne na kakovost vašega varnostnega sistema pred tem. Nekatere stranke to zastavljajo kot ločeno vprašanje, druge pa ga uporabljajo kot posredno preizkušnjo: zavarovalnica običajno ne sprejme police brez minimalnih osnovnih ukrepov, zato se "da, zavarovan/-a" včasih razume kot posredni dokaz določene zrelosti. To je predpostavka strani, ki postavlja vprašanje, ne pa norma iz navedenih virov.

Če imate polico, lahko odgovor "da" utemeljite, čim imate polico ali potrdilo zavarovalnice kot dokaz. Če police nimate, je "ne" dejansko pravilno odgovor — nadaljnje vprašanje o nadomestnih ukrepih se običajno postavi posebej, na primer o postopkom za obravnavo varnostnih incidentov ali o varnostnih kopijah in nujnih ukrepih za obnovo. Če dvomite, ali se vprašanje nanaša na samo polico ali na temeljno kritje (na primer kritje za vohunjenje s programsko opremo zahtevanja diskete ali prekinitev poslovanja), preberite besedilo vprašanja dobesedno: "zavarovan/-a pred kibernetskimi incidenti" je širše kot "sklenjeno zavarovanje pred kibernetskimi grožnjami", in ketenjski dosje mora vsebovati odgovor na postavljena vprašanja, ne pa na sorodna vprašanja.

Noben od treh virov ne zahteva zavarovanja pred kibernetskimi grožnjami

Ne direktiva NIS2 člen 21(2) ne Priloga A standarda ISO/IEC 27001 ne Zakon o kibernetski varnosti ne omenjajo obveznosti zavarovanja. Deset ukrepov NIS2 se nanašajo na upravljanje tveganja, obravnavo incidentov, nadaljevanje poslovanja in podobno — zavarovanje tam ni omenjeno. Tudi Priloga A ne vsebuje nobenega nadzornega ukrepa, ki bi posebej zahteval zavarovanje. Stranka, ki se vpraša za zavarovanje, to torej počne na lastno pobudo, ločeno od te zakonodaje; odgovor zato ostaja dejansko vprašanje da/ne s polico kot dokazom, ne pa vprašanje skladnosti z zakonsko minimalno mejo.